[Morpheus]

Iska, спасибо! Эхх, как же тяжело, когда не совсем представляешь, что делаешь
Подскажите, плз, где косяк? (Только не говорите, что это один большой косяк )

Код:

#pragma namespace ("\\\\.\\Root\\subscription")

instance of NTEventLogEventConsumer as $SCRSTARTCONSUMER
{
    Name = "SCRStartConsumer";
    SourceName = "SCRStartConsumer1";
    EventID = 7895;
    EventType = 3;
    Category = 0;
    NumberOfInsertionStrings = 1;
    InsertionStringTemplates = {"StartSCR"};
};    

instance of NTEventLogEventConsumer as $SCRSTOPCONSUMER
{
    Name = "SCRStopConsumer";
    SourceName = "SCRStopConsumer1";
    EventID = 7896;
    EventType = 3;
    Category = 0;
    NumberOfInsertionStrings = 1;
    InsertionStringTemplates = {"StopSCR"};
};    

// Создание экземпляра фильтра событий 
// для создания нового процесса *.SCR
// и присвоение ему псевдонима $SCRSTARTFILTER

instance of __EventFilter as $SCRSTARTFILTER
{
    Name = "ScreenSaverStartFilter";
    EventNamespace = "\\\\.\\root\\cimv2";  

    Query = "SELECT * FROM __InstanceCreationEvent WITHIN 5 "
            "WHERE TargetInstance ISA \"Win32_Process\" "
            "AND TargetInstance.Name LIKE \"%%.scr\"";
    QueryLanguage = "WQL";
};

// Создание экземпляра фильтра событий 
// для удаления процесса *.SCR
// и присвоение ему псевдонима $SCRSTOPFILTER

instance of __EventFilter as $SCRSTOPFILTER
{
    Name = "ScreenSaverStopFilter";
    EventNamespace = "\\\\.\\root\\cimv2";  

    Query = "SELECT * FROM __InstanceDeletionEvent WITHIN 5 "
            "WHERE TargetInstance ISA \"Win32_Process\" "
            "AND TargetInstance.Name LIKE \"%%.scr\"";
    QueryLanguage = "WQL";
};

// Создание экземпляра связи между фильтром и подписчиком
// события запуска хранителя экрана

instance of __FilterToConsumerBinding
{
     Consumer = $SCRSTARTCONSUMER;
     Filter = $SCRSTARTFILTER;
};

// Создание экземпляра связи между фильтром и подписчиком
// события остановки хранителя экрана

instance of __FilterToConsumerBinding
{
     Consumer = $SCRSTOPCONSUMER;
     Filter = $SCRSTOPFILTER;
};